Guía de ciberseguridad y resiliencia del DMS del concesionario

1. Modele la superficie de ataque real del concesionario

El DMS rara vez opera solo. Intercambia datos de clientes, vehículos, precios, reparaciones, piezas y contabilidad con el CRM, los portales del OEM, los proveedores de financiación, los sitios web, los sistemas de llamadas, las herramientas de diagnóstico y las hojas de cálculo. Las redes de las sucursales incluyen equipos de oficina, equipamiento de taller, Wi-Fi, impresoras, cámaras y acceso remoto de proveedores. Cada identidad e interfaz forma parte del perímetro operativo.

Empiece por un inventario de activos y flujos de datos. Registre el propietario, la finalidad, los usuarios, el administrador, la exposición a internet, la autenticación, las integraciones, la sensibilidad de los datos, el proveedor y la dependencia de recuperación. Incluya las interfaces inactivas y las cuentas robotizadas. Las conexiones heredadas desconocidas son especialmente peligrosas porque pueden conservar permisos amplios después de que termine su finalidad de negocio.

ENISA analizó 4875 incidentes para su Threat Landscape 2025. Dentro de su subconjunto de cibercrimen, el ransomware representó el 81,1 %, mientras que las brechas vinculadas al ransomware supusieron el 15,2 % de los incidentes en conjunto. [1] Esos denominadores son distintos y no deben confundirse. La lección operativa es que los concesionarios necesitan tanto prevención como capacidad de recuperación.

2. Convierta la identidad en el plano de control de seguridad

Exija autenticación multifactor resistente al phishing cuando esté disponible, especialmente para administradores, correo electrónico, acceso remoto y finanzas. Centralice el inicio de sesión cuando sea práctico y bloquee las cuentas de usuario compartidas. Las cuentas de servicio necesitan propietarios, permisos acotados, secretos rotados y ningún uso interactivo. Las credenciales de API deben guardarse en un gestor de secretos, no en scripts ni en tickets.

Implante un proceso de altas, cambios y bajas que refleje la rotación de personal del concesionario y los cambios de función. Deshabilite el acceso rápidamente al causar baja, elimine los permisos de la antigua sucursal en un traslado y revise periódicamente los accesos privilegiados. Separe la capacidad de crear un proveedor, aprobar un pago, exportar datos de clientes y cambiar la configuración de seguridad.

Supervise las ubicaciones de inicio de sesión inusuales, los desplazamientos imposibles, las exportaciones masivas, los cambios de privilegios, los registros deshabilitados y los cambios masivos de registros. Las alertas necesitan propietarios y protocolos de respuesta. Conserve los registros de auditoría fuera del alcance de la cuenta supervisada y sincronice la hora entre sistemas para que los investigadores puedan reconstruir los hechos.

3. Reduzca la exposición técnica y el riesgo de integración

Aplique primero los parches a las vulnerabilidades expuestas a internet y explotadas, según la criticidad del activo y la evidencia de amenazas. Elimine el software de control remoto sin soporte y cierre los puertos sin uso. Segmente los dispositivos de diagnóstico y de taller de los servicios de finanzas e identidad. El acceso de los proveedores debe estar limitado en el tiempo, aprobado y supervisado.

Proteja las integraciones como software de producción. Valide el esquema y la autorización, use idempotencia para evitar eventos financieros duplicados, limite los datos devueltos y proteja los endpoints de webhook frente a la suplantación y la repetición. Aplique credenciales independientes por entorno y por socio. Una única cuenta de integración todopoderosa anula el diseño de roles.

4. Diseñe la recuperación en torno a las operaciones del concesionario

Defina el objetivo de punto de recuperación, el objetivo de tiempo de recuperación y la interrupción máxima tolerable para la captación de leads, la planificación del taller, las piezas, la facturación, la entrega del vehículo y la nómina. Las dependencias importan: restaurar el DMS sin la identidad, el DNS, el almacenamiento de documentos o el enlace con el OEM puede no restaurar un servicio útil.

Mantenga copias de seguridad inmutables o aisladas, protegidas con credenciales distintas de la administración de producción. Pruebe la restauración en un entorno limpio y verifique la coherencia de los datos, no solo que los archivos existan. Registre el tiempo empleado y los pasos manuales. Conserve los contactos de los proveedores y la información de licencias en un paquete de respuesta sin conexión.

Prepare procedimientos de parada controlada: cómo verificar a los clientes, registrar el trabajo, autorizar la entrega del vehículo, anotar las piezas, proteger los formularios en papel y conciliar las transacciones después de la recuperación. Practíquelos con los responsables de sucursal. La continuidad manual no es una licencia para saltarse los controles de fraude y privacidad.

5. Trate a los proveedores como parte del entorno de control

Solicite evidencia proporcional al riesgo: alojamiento y residencia de los datos, cifrado, controles de identidad, registros de auditoría, desarrollo seguro, gestión de vulnerabilidades, garantía independiente, enfoque de las pruebas de penetración, historial de incidentes, subencargados, continuidad, devolución y eliminación de datos. Un certificado es útil, pero no responde a si un concesionario ha configurado la MFA o tiene permisos excesivos.

Los contratos deben definir la notificación de incidentes, la cooperación, la conservación de evidencias, los objetivos de recuperación, los cambios de subencargados y el apoyo a la salida. Identifique a los cuartos implicados que puedan interrumpir de forma significativa el servicio. Reevalúe en la renovación y tras cambios importantes de arquitectura o de propiedad.

Para los datos personales, el artículo 32 del RGPD exige a los responsables y encargados aplicar medidas adecuadas al riesgo, incluidas, cuando proceda, el cifrado, la resiliencia, la restauración y las pruebas periódicas. [2] Este enfoque se basa en el riesgo, no es una lista de comprobación fija.

6. Entienda la NIS2 y las normas sobre vehículos sin sobredimensionar su alcance

La NIS2 es la Directiva (UE) 2022/2555, por lo que los Estados miembros la transponen a su derecho nacional. El alcance depende del sector, el tipo de entidad, las normas de tamaño, las decisiones nacionales y la designación. La fabricación de vehículos de motor figura en el anexo II, y ciertos proveedores de nube, de servicios gestionados y digitales son categorías cubiertas. Un concesionario ordinario no queda automáticamente dentro del alcance por el mero hecho de vender o reparar vehículos. [3]

Incluso cuando un concesionario queda fuera del alcance directo, los contratos con el OEM o con proveedores pueden trasladarle requisitos. Las entidades cubiertas asumen obligaciones de gobernanza, gestión de riesgos y notificación de incidentes según la transposición nacional. Verifique la entidad jurídica y la legislación nacional vigente en lugar de basarse en un resumen a escala de la UE.

Los Reglamentos n.º 155 y 156 de la CEPE/ONU abordan la ciberseguridad de los vehículos y la gestión de actualizaciones de software en el marco de la homologación de tipo. [4] Se refieren principalmente a los fabricantes y a los tipos de vehículo homologados, no a la certificación de cada DMS de concesionario. Aun así, los concesionarios pueden respaldar las actualizaciones de software controladas, la evidencia de campañas y la escalada de incidentes en la cadena más amplia del sector de la automoción.

Dónde encaja Omnetic

Los módulos documentados de Omnetic conectan el CRM, el ciclo de vida del vehículo, el stock, los precios y los flujos de inspección. Menos traspasos sin control puede mejorar la visibilidad operativa, pero la consolidación también concentra la dependencia y debe protegerse en consecuencia. La documentación del producto hace referencia a API, webhooks, identificadores externos y exportaciones programadas sin publicar un catálogo público completo de seguridad o de interfaces.

Antes de elegir, pida a Omnetic evidencia sobre el alojamiento, la residencia de los datos, el cifrado, el RBAC, la MFA o el 2FA, los registros de auditoría, el aislamiento de las copias de seguridad, las pruebas de recuperación, las condiciones ante incidentes, la gestión de vulnerabilidades, los subencargados y la seguridad de las integraciones. Valide la configuración y las responsabilidades en el país y el paquete previstos.